Хостинговая компания FirstVDS внедряет бэкдоры в VDS клиентов

Исследователь безопасности Игорь Агиевич  обнаружил  потенциальную проблему безопасности, связанную с хостером FirstVDS. Как выяснилось, компания поставляет пользователям виртуальные выделенные серверы (VDS) со следующим содержимым файла /root/.ssh/authorized_keys:

Встроенный SSH-ключ позволит сотрудникам FirstVDS получить доступ к арендуемым пользователями виртуальным серверам. Согласно комментарию в файле, ключ необходим для доступа службы технической поддержки к серверам клиента. При этом пользователя не оповещают о необходимости внедрения отдельного SSH-ключа.

Агиевич обратился в техподдержку с целью разъяснения ситуации, но представитель компании отказался давать какие-либо комментарии, поскольку ИБ-специалист сам не является клиентом FirstVDS. В дальнейшем переписка была переведена в режим «Архив», где исследователь не мог разместить ответ.

По словам Агиевича, бэкдор содержится во всех образах виртуальных ОС. Переустановка операционной системы из предоставленного FirstVDS образа ситуацию не исправляет. Одним из вариантов решения проблемы является удаление файла /root/.ssh/authorized_keys.